973.
約2週間経っても一部の診療が可能になっただけこんにちは。医療ジャーナリストの萬田 桃です。医師や医療機関に起こった、あるいは医師や医療機関が起こした事件や、医療現場のフシギな出来事などについて、あれやこれや書いていきたいと思います。野球シーズンも完全に終わってしまったこの週末は、原稿書きをしながらネットの“ストーブリーグ”のニュースを読んで時間を潰しました。今ホットなのは、福岡ソフトバンクホークスの千賀 滉大投手、オリックス・バファローズの吉田 正尚選手、阪神タイガースの藤浪 晋太郎投手など、MLBへの挑戦を宣言している日本人選手たちがどこのチームと契約するかのニュースです。そんな中、個人的に気になったのはオリックスの吉田選手です。それなりの高評価を受けているとのことですが、本当でしょうか?私は吉田選手を何度か球場で観たことがあるのですが、バッティングはともかく、守備能力はプロ野球選手の平均以下で、とてもMLBで通用するようには見えませんでした。外野手ですが肩は弱く(だから左翼を守っているのでしょう)、走力も今ひとつで守備範囲も広くありません。かといって、DHのポジションを取れるほどの桁外れのパワーがあるわけでもありません。広島に帰って来た秋山 翔吾選手や、未だ来季の所属チームが決まっていない筒香 嘉智選手の二の舞を踏まないことを願うばかりです。さて今回は、10月31日に大阪の災害拠点病院で起きた電子カルテへのサイバー攻撃の事件について書いてみたいと思います。約2週間経った11月15日現在も、やっと一部の診療が可能になっただけで、全面復旧は来年1月頃になるとのことです。昨年起きた徳島県つるぎ町の町立半田病院のサイバー攻撃の事件を上回りそうな被害状況です。全国の医療機関の経営者は、自院のセキュリティ体制や、外部事業者との契約等について改めて調べ、検討し直す必要がありそうです。患者の電子カルテが閲覧できず、診療報酬の計算もできない状態地方独立行政法人 大阪府立病院機構・大阪急性期・総合医療センター(大阪市住吉区)は10月31日夜に記者会見を開き、ランサムウェア(身代金ウイルス)によるサイバー攻撃を受けたと発表しました。記者会見の席で岩瀬 和裕病院長らが事件の概要を説明しました。それによると、31日午前6時40分ごろ、職員がサーバーの障害に気づき、同8時半ごろ、業者の調査でランサムウェアの攻撃と判明したとのことです。サーバー上の画面には、英語で「全てのファイルは暗号化された。復元したければ、指定のアドレスにメールを送りビットコインで支払え。金額はメールを送る時間で変わる」と、データに対する「身代金」を要求するメッセージが表示されていたそうです。同センターは「金銭を支払う考えはない」として大阪府警に相談、同日夜の記者会見となりました。システム障害によって、患者の電子カルテが閲覧できず、診療報酬の計算もできない状態に陥り、31日は午前9時からの外来診療を中止し、緊急以外の予定手術は延期となりました。この日だけで最大1,000人の患者に影響が出たとのことです。復旧は遅々として進まず、全面復旧は来年1月ころに同センターは地方独立行政法人 大阪府立病院機構が運営する救急医療や災害医療の拠点病院で36診療科865床を有しています。府内の唯一の基幹災害医療センターであり、かつ府内に3ヵ所ある高度救命救急センターの1つでもあります。救急搬入数は府内に16ヵ所ある救命救急センターの中でもトップクラスとのことです。これまでサイバー攻撃を受けた病院と同様、サイバー攻撃からの復旧は2週間たった現在も遅々として進んでいません。各紙報道等によると、同センターは翌日以降も外来診療を含む通常診療を休止、紙のカルテを用いた手術の一部再開は11月4日、新規の手術や予約済みの外来診療が可能となったのは、電子カルテの一部が復旧した11月10日でした。元々カルテなどのデータのバックアップは取っていたとのことですが、閲覧するには攻撃を受けたシステムへの接続が必要で、安全性が確認できるまで閲覧できない状態が続きました。7日までに、攻撃を受ける直前の電子カルテのバックアップが確認でき、参照できる環境が整ったことで、10日から新規の手術や予約済みの外来診療が可能になったとのことです。同センターは一部復旧について、感染を免れた約1,000台(感染したサーバーや端末は約1,300台で全体の6割を占める)の端末のうち20台を使って、サーバーと切り離していたバックアップデータを参照できるようにした、と発表しています。診察内容の書き込みや担当部署への検査の発注などは10日時点でまだできていません。引き続き検査や新規の外来診療は停止しており、CTやMRIなどの画像診断システムも含めた全面復旧は来年1月ころになりそうだとのことです。ウイルスは給食の委託事業者のシステムから侵入そんな中、とても興味深い報道もありました。同センターが7日に開いた記者会見で嶋津 岳士総長が、障害の原因となったコンピューターウイルスは、給食の委託事業者のシステムから侵入した可能性が高い、と発表したのです。各紙報道等によれば、政府から派遣された専門家チームが調査した結果、患者の給食を納入している事業者の調理施設「ベルキッチン」(堺市)から、病院のサーバーに大量の不正なアクセスが確認されました。事業者側のシステムも病院と同様、ランサムウェアの感染が確認されました。脅迫文の内容などから、サイバー犯罪集団「Phobos」による攻撃の可能性があるそうです。事業者のシステムは、配食数や食事内容を管理するもので、病院のネットワークや電子カルテシステムと常時つながっており、病院はこのネットワークを利用し、糖尿病などの患者の食事内容を事業者に伝えていました。ベルキッチンを運営する社会医療法人・生長会の発表では、給食提供のためのシステムに障害が発覚したのは10月31日午前6時頃で、病院の電子カルテシステムの障害が発覚したのはこの約40分後だったそうです。ちなみに、事業者のVPN(仮想プラベートネットワーク)機器は、昨年10月にサイバー攻撃を受けた徳島県つるぎ町立半田病院と同じ製品で、ソフトウェアが更新されていませんでした。一方、病院側は最新のセキュリティ対策ソフトを導入するなどしていました。病院は「事業者のシステムに脆弱性があり、そこからウイルスの侵入を許し、こちらに入ってきた」との見方を示しています。病院自体はセキュリティ対策をしっかりしてきたつもりなのに、ネットワークにつながっていた外部の業者からウイルスが侵入してきたわけで、改めてハッカー対策の難しさが浮き彫りになった形となりました。つるぎ町の町立半田病院のサイバー攻撃から1年目に起きた事件サイバー犯罪集団のランサムウェアを用いた病院攻撃については、本連載でも徳島県つるぎ町の町立半田病院(120床)のケースを昨年のちょうど今頃、「第86回 世界で猛威を振るうランサムウェア、徳島の町立病院を襲う」で書きました。町立半田病院のケースは、2021年10月31日に起きました。病院システムのメインサーバーとバックアップサーバーが、「LockBit2.0」と名乗るロシア拠点の国際的なハッカー集団が仕掛けるランサムウェアに感染。同病院ではこの攻撃で患者約8万5,000人分の電子カルテが閲覧不能となり、急患や新患の受付ができなくなるなど、大きな被害が出ました。最終的にサーバーが復旧し、通常診療に戻ったのは2ヵ月後の2022年1月でした。本連載では、同病院のケースの調査報告書がまとめられた今年6月にも、「第118回 ランサムウェア被害の徳島・半田病院報告書に見る、病院のセキュリティ対策のずさんさ」で、その内容について書き、外部事業者に任せきりになっている医療機関のセキュリティ対策のずさんさを指摘しました。4つの興味深い共通点私はコンピューターウイルスの専門家ではないので細かなことはわかりませんが、素人目線で2つの事件を眺めると、いくつかの興味深い共通点があることがわかります。主な点を列挙してみます。1)どちらも10月31日に感染している。2)一度電子カルテシステムが感染すると紙のカルテに戻り、全面普及には2〜3カ月かかる。3)ソフトウェアの更新を怠っていたVPN経由で攻撃された。4)表向き「身代金は払わない」「身代金は払っていない」としている。1)はまったくの偶然でしょうが、ひょっとしたら何か理由があるかもしれません。皆さん、31日や来年の10月31日は気をつけたほうがいいかもしれません。2)紙のカルテについては、現在、ほとんどの病医院で運用していないと思いますが、こうした事態に備え、紙のカルテの使い方の練習もしておく必要があるかもしれません。東日本大震災の津波の被害の時も、紙のカルテに戻っていました。3)町立半田病院のVPN機器は、過去に認証情報の流出が問題になった米国フォーティネット社のもので、ソフトウェアが更新されていませんでした。報道によれば、大阪のケースでは、患者給食を納入している事業者のVPN機器がその機種で、やはりソフトウェアの更新がされていなかったようです。町立半田病院事件、「身代金受け取った」報道の謎そして、4)はなかなかセンシティブでグレーな問題です。報道等によると、今回の大阪のケースでは、身代金の支払いの「期限」が切れたとみられる1日午後4時過ぎ現在、支払いの指示に関する連絡はなかったそうです。このまま身代金を支払わず、全面復旧が実現すればいいのですが、気になるニュースもあります。10月26日付の共同通信によれば、町立半田病院の事件を巡り、「LockBit2.0」(現在は「LockBit3.0」と名称変更)が「データの『身代金』として3万ドル(約450万円)を受け取った」と主張していることがわかったのです。警察庁などは身代金を払うべきでないとしており、つるぎ町も払わないと表明していましたが、「復元を依頼されたIT業者の関係者が交渉した可能性がある」と共同通信は書いています。ランサムウェアの暗号を解除してデータを復元するのは技術的にほぼ不可能と言われています。だからこそ身代金要求が成立すると言えるでしょう。復元を依頼された IT業者が実際に身代金を払っていたかどうかは不明ですが、一部には、身代金の受け渡しを否定した町立半田病院に代わって、この業者が秘密裏にLockbit側と交渉、同病院(つるぎ町)から支払われた復旧費用(7,000万円だそうです)から身代金を捻出し支払うことで復元プログラムを入手し、電子カルテの復旧を実現したとの情報もあります。「身代金は払わない」と言っていた町立半田病院に内緒でこっそり450万円を支払い、7,000万円の売上を得ていたとしたら、それはそれで「契約違反」なわけでとても大きな問題です。なお、この件については、雑誌『選択』11月号が、「サイバー被害者『救済商法』に要注意 『半田病院事件』驚きの真相」という記事を掲載しています。そう考えると、医療機関のセキュリティ対策は、まず医療機関自身が自発的に取り組むことに加え、信頼に足る(そして暴利を貪らない)IT業者と組むことも重要と言えそうです。なお、厚生労働省は大阪急性期・総合医療センターの事件や、町立半田病院の身代金報道を受け、11月10日に「医療機関等におけるサイバーセキュリティ対策の強化について(注意喚起)」と題する事務連絡を発出しています1)。事務連絡は「医療機関を攻撃対象とする同種攻撃は近年増加傾向にあり、その脅威は日増しに高まっています」として、リスクを低減するための措置、インシデントの早期検知、インシデント発生時の適切な対処・回復、金銭の支払いへの対応などについて注意喚起しています。金銭の支払いについては、「金銭を支払ったからと言って、不正に抜き取られたデータの公開や販売を止めることができたり、暗号化されたデータが必ず復元されたりする保証がない」、「一度、金銭を支払うと、再度、別の攻撃を受け、支払い要求を受ける可能性が増える」といった理由を挙げ、サイバー攻撃をしてきた者の要求に応じて金銭を支払うことは、犯罪組織に対して支援を行うことと同義であり厳に慎むべきである、としています。大阪急性期・総合医療センターはかつて「某毒院」「大阪駆黴院」と呼ばれ、梅毒の検査・治療施設だったそうです。同センターは果たして、現代の病院の“感染症”を克服し、無事身代金を払わずに全面復旧までこぎつけることができるのでしょうか。幸いバックアップが生きているようで、先行きは明るそうですが、「全面復旧は来年1月」と少々先過ぎる点が、実はダメージは深刻なのではないかと気になります。今後の展開を注視したいと思います。参考1)医療機関等におけるサイバーセキュリティ対策の強化について(注意喚起)/厚生労働省